Сервис Сбербанка «протек» по-крупному. Персональные данные десятков миллионов клиентов в свободном доступе

В сервисах Сбербанка новая утечка персональных данных клиентов. В Сети найден архив с телефонами, адресами и номерами карт десятков миллионов пользователей, присоединившихся к бонусной программе «Сберспасибо». Пострадали как минимум 47,9 млн человек. В 2019 г. Сбербанк «слил» в Сеть еще более крупный архив с не менее важными данными клиентов – эта утечка затронула свыше 60 млн пользователей банка. 

Информационная безопасность – пустой звук

«Дочка» Сбербанка допустила огромную утечку персональных данных своих клиентов – пострадали десятки миллионов участники бонусной программы банка «Сберспасибо». Как сообщил в своем Telegram-канале сервиса разведки утечек данных и мониторинга даркнета DLBI, попавшая в Сеть база данных содержит информацию почти о 50 млн пользователей этой системы, включая персональные данные, которые в дальнейшем могут использоваться для рассылки спама и мошеннических операций.

Архив с данными пользователей «Сберспасибо» имеет объем в пределах 14 ГБ и состоит из двух файлов. Первый «весит» 820 МБ и называется Orders, а второй занимает около 13 ГБ и носит название Users. Предположительно, весь этот массив данных был получен из фирменного приложения «Сберспасибо». 

На момент публикации материала представители «Сберспасибо» и Сбербанка не подтверждали информацию об утечке. Впрочем, официального опровержения тоже не было, что повышает вероятность подлинности оказавшихся в свободном доступе сведений. «Мы проверяем информацию и ее достоверность, – сообщили CNews представители «Сберспасибо». – Подобные сообщения возникают часто и как правило связаны с мошенниками, которые пытаются продать компиляции старых баз данных под видом оригинальных».

Содержимое архива

По словам экспертов DLBI, основной массив данных в архиве – это номера телефонов пользователей – их в нем 47,9 млн, и все уникальные, без повтора. Адресов электронной почты в разы меньше, но тоже в избытке – 3,3 млн уникальных адресов. В итоге по первым мошенники могут звонить, к примеру, от имени службы безопасности самого Сбербанка и предложить перевести деньги на «супернадежный» счет для защиты от мошенников, а на вторые рассылать фишинговые письма с целью украсть банковские данные пользователей.

Последнее, впрочем, может и не потребоваться, поскольку в архиве оказались хешированные номера банковских карт клиентов «Сберспасибо», притом как основной карты, с которой они совершают платежные операции чаще всего, так и всех дополнительных. Все они зашифрованы по древнему и в современном мире, как оказалось, полностью бесполезному алгоритму SHA1. «Не смотря на то, что номера банковских карт хранятся в одном из этих файлов в виде хеша, из-за использования устаревшей функции хеширования SHA1, нет никаких проблем "восстановить" их реальные значения прямым перебором всех цифр», – утверждают эксперты DLBI.

Перечисленная информация дополнена датами рождения клиентов сервиса. При должной сноровке мошенники наверняка найдут способ использования и этих сведений в своих корыстных целях, равно как и дата создания и обновления записи пользователей в программе «Сберспасибо» за период с 22 июля 2015 г. по 07 июня 2022 г. Эти данные тоже оказались в архиве.

Хакеры на опыте

По информации сервиса DLBI, за утечку данных клиентов «Сберспасибо», ответственны те же киберпреступники, что ранее «слили» в Сеть информацию информацию онлайн-платформы правовой помощи «Сберправо», «Сберлогистики», образовательного портала GeekBrains и ряда других сервисов. Эксперты сервиса считают, что в ближайшем будущем представители в Рунете появится утверждение представителей «Сберспасибо» о неактуальности представленной в утекшем архиве информации. 

За последний месяц это как минимум второй случай «серийной утечки» данных, когда один хакер или группа хакеров выгружает в Сеть информацию нескольких сервисов и компаний. 9 марта 2023 г. CNews освещал случай взлома компании Acronis, занимающейся информационной безопасностью – архив с ее корпоративной информацией попал в интернет через пару дней после утечки в Acer, крупном производителе компьютерной техники.

Оба «слива» – результат действий одного человека или одной группы лиц. Acer сразу признала утечку, а вот Acronis сперва опровергла факт утечки, но потом выпустила «опровержение на опровержение»: как пишет The Register, она призналась в случившемся, но заявила, что в результате инцидента пострадал всего лишь один ее клиент.

Почти рекорд

Если утечку в «Сберспасибо» подтвердят представители сервиса или непосредственно Сбербанка, то, несмотря на гигантское количество пострадавших в результате этого «слива», рекордным он не будет. В конце 2019 г. в Сети по недосмотру службы безопасности «Сбера» оказалась база данных с информацией о более чем 60 млн клиентах банка. – общедоступными стали их ФИО, паспортные данные и ряд других сведений, включая информацию по кредитам. Подлинность записей была подтверждена, а утечку допустил один из теперь уже бывших работников банка, решивший подзаработать на продаже базы данных в даркнете. На тот момент это была крупнейшая утечка в истории российского банковского сектора, и новую высоту хакеры и инсайдеры пока не взяли.

Источник: cnews.ru

Герман Греф: Сбербанку позарез не хватает опытных ИТ-шников. Миддлы и сеньоры уехали из России и не хотят возвращаться

Герман Греф пожаловался, что Сбербанку не хватает ИТ-кадров. Основная причина – их релокация на фоне событий 2022 г. Банку нужны именно опытные работники – миддлы и сеньоры, тогда как в Россию из других стран возвращаются, по большей части, только джуниоры. 

Где взять ИТ-шников

Сбербанк, крупнейший банк России, столкнулся с серьезной нехваткой ИТ-специалистов, особенно опытных, о чем заявил лично Герман Греф, председатель правления Сбербанка. По его словам, дефицит связан со стремительной релокацией ИТ-шников, многие из которых, особенно квалифицированные кадры, не очень рвутся обратно в Россию.

«Есть проблема того, что мы какое-то время будем восстанавливать нашу квалификационную составляющую, потому что отток был так называемых мидлов или сеньоров, то есть людей, которые имеют более высокую квалификацию. Такого уровня специалистов не так много на рынке. На сегодня остро эту проблему ощущаем», – сказал Герман Греф.

Председатель правления Сбербанка отдельно отметил, что после отъезда за пределы России наиболее опытные отечественные эксперты в области информационных технологий оседают в других странах. Возвращаются преимущественно джуниоры – ИТ-шники начального уровня, с минимальным багажом знаний и умений. 

Среди «возвращенцев» преобладают, по словам Грефа, Java-разработчики. Этот язык программирования, как сообщал CNews, очень любим россиянами. Наряду с ними в родные края из-за рубежа релоцируются специалисты в data-science и разработчики мобильных приложений.

Почему ИТ-кадры бегут из России

Массовый отток ИТ-работников из России пришелся на 2022 г. и стал частью двух волн общей эмиграции россиян. Первая прошла в марте и апреле 2022 г. на фоне начавшихся на Украине событий – тогда из России, по разным оценкам, уехало около 70 тыс. ИТ-шников. Вторая, сентябрьская волна массового отбытия россиян за границу связана с нежеланием мужского населения страны в добровольно-принудительном порядке участвовать в украинских событиях. Скольких людей после нее недосчиталась российская ИТ-отрасль, не установлено.

Перспективы не самые радужные

Многие отбывшие из России продолжили работать удаленно – в теории, их можно отнести к тем, кто остался в стране. Но власти на протяжении всего 2022 г. пытались заманить их обратно физически, притом сначала пряником, а потом кнутом. Пряник – это в данном случае многочисленные послабления, включая отсрочку от армии и льготную ипотеку.

Кнут власти начали готовить в феврале 2023 г. Как сообщал CNews, некоторым уехавшим ИТ-шникам на уровне закона запретят работать из-за границы, тем самым поставив их перед выбором – уволиться и разорвать рабочие связи с Россией или не терять место работы и вернуться в страну.

Давняя проблема

Как пишет VC.ru, как минимум одна неназванная компания из экосистемы Сбербанка не желает видеть в своем штате отбывших из России ИТ-шников. Она еще в марте 2022 г. предложила им или вернуться, или уволиться. 

При этом на ощутимую нехватку ИТ-кадров, в особенности «безопасников», Сбербанк сетовал еще в декабре 2021 г., за несколько месяцев до всем известных событий. О возникшей кадровой проблеме в ИБ-сегменте заявил зампред правления Сбербанка Станислав Кузнецов – он полагал, что это явление связано с недостаточным количеством преподавателей в вузах, способных обучать ИБ-специалистов.

«Чемоданное» настроение было присуще большинству российских ИТ-шников еще раньше – в ноябре 2021 г. CNews писал о готовности 60% из них отбыть за рубеж при первой же возможности. Не исключено, что события 2022 г. послужили катализатором для них. К слову, президент ИБ-компании InfoWatch Наталья Касперская предсказывала скорый массовый отток ИТ-кадров за рубеж еще летом 2020 г. На тот момент основной причиной была плохая экономическая обстановка в России, вызванная пандемией коронавируса.

Минцифры заявляло о нехватке в России около 1 млн ИТ-шников в еще феврале 2021 г. С учетом всего сказанного выше можно предположить, что по прошествии двух лет это количество как минимум не уменьшилось. И хотя в октябре 2022 г. президент ассоциации «Руссофт» Валентин Макаров говорил о возвращении в страну около трети релоцировавшихся работников сферы ИТ, это едва ли сильно повлияло на общий их дефицит.

Источник: cnews.ru